Как соблюсти требования Роскомнадзора при трансграничной передаче данных через зарубежную рекламу?

Здравствуйте, Людмила.

В данном случае необходимо учитывать нормы Федерального закона от 27 июля 2006 г. N 152-ФЗ «О персональных данных».

Согласно ст. 12 Данного закона, трансграничная передача персональных данных — это передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.

Поскольку ваш сайт, реклама через Google Ads или взаимодействие с иностранным юридическим лицом предполагают передачу данных граждан РФ или иных субъектов, чьи данные вы обрабатываете за пределы России, вы обязаны до начала такой деятельности уведомить Роскомнадзор о своем намерении в соответствии с ч. 3 ст. 12 Закона № 152-ФЗ. Это уведомление подается отдельно от общего уведомления об обработке персональных данных, предусмотренного ст. 22 Закона № 152-ФЗ.

В уведомлении о трансграничной передаче необходимо указать сведения об операторе, т.е. о вашем российском юридическом лице, правовое основание и цель трансграничной передачи, категории и перечень передаваемых данных, а также категории субъектов, перечень иностранных государств, т.е. в вашем случае — это Кипр, Испания, ОАЭ, дату проведения оценки соблюдения иностранными контрагентами конфиденциальности и безопасности персональных данных.
И до подачи уведомления вы обязаны получить от иностранных лиц, которым планируется передача данных, сведения о мерах по защите передаваемых персональных данных и условиях прекращения их обработки, сведения о правовом регулировании в области персональных данных в их государстве, если государство не входит в перечень стран, обеспечивающих адекватную защиту и сведения о контактных данных этих лиц.

Если государство включено в перечень стран, обеспечивающих адекватную защиту (это утверждается Роскомнадзором), то вы вправе осуществлять передачу после направления уведомления, т.е. до принятия решения о запрете.
Если государство не включено в этот перечень, вы не вправе осуществлять передачу до истечения 10 рабочих дней с даты поступления уведомления в Роскомнадзор в соответствии с ч. 11 ст. 12 Закона № 152-ФЗ.

Если иностранное юридическое лицо будет самостоятельно обрабатывать данные в своих целях, оно выступает самостоятельным оператором. Если же оно действует исключительно по вашему поручению, то Вам необходимо оформить договор, содержащий перечень действий с данными и требования по их защите на основании ч. 3 ст. 6 Закона № 152-ФЗ.

При этом политика конфиденциальности на вашем сайте должна быть актуализирована и должна содержать информацию о трансграничной передаче данных.
И знайте, что Роскомнадзор вправе запретить или ограничить трансграничную передачу в целях защиты основ конституционного строя, нравственности, здоровья, прав и законных интересов граждан на основаниич. 7 ст. 12 Закона № 152-ФЗ.
Поскольку в ваших текущих сведениях в Роскомнадзоре трансграничная передача не указана, вам необходимо подать соответствующее уведомление до начала фактической передачи данных иностранным контрагентам или использования сервисов, предполагающих такую передачу.

Доброе утро, Людмила! 
вообще сам по себе запуск рекламы на зарубежную аудиторию не запрещен. Но перед запуском нужно будет проверить, какие персональные данные передаются через сайт и рекламные сервисы иностранным компаниям. Если такая передача осуществляется, то тут уже необходимо заранее оформить трансграничную передачу в Роскомнадзоре и привести сайт и документы по персональным данным в соответствие с законом

сейчас подробнее объясню 

Если через сайт вы собираете, например, имя, телефон, e-mail и эти данные становятся доступны иностранной компании, то по сути это уже может быть трансграничной передачей 

Если такая передача есть, до ее начала необходимо уведомить Роскомнадзор

Это прямо предусмотрено ч. 3 ст. 12 Закона № 152-ФЗ:

«Оператор до начала осуществления деятельности по трансграничной передаче персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять трансграничную передачу персональных данных»

Поэтому в вашей ситуации я бы сначала проверила сайт и все подключенные к нему сервисы например  Google Ads, аналитику, cookies ну и т.д. Нужно установить, передаются ли через них персональные данные за пределы РФ и кому именно. Если передача есть, необходимо подать в Роскомнадзор отдельное уведомление о трансграничной передаче. ( Оно подается отдельно от уже имеющегося уведомления об обработке ПД ) 

В уведомлении указать, какие данные передаются, для чего, в какие страны и каким иностранным компаниям

Также необходимо соблюдать требование ч. 5 ст. 18 Закона № 152-ФЗ.  

….запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся за пределами территории Российской Федерации, не допускаются

То есть первоначальный сбор и основные операции с такими данными должны осуществляться с использованием базы данных, находящейся в России

Уважаемая Людмила, здравствуйте!

Согласно ст.12 Федерального закона от 27.07.2006 N 152-ФЗ  «О персональных данных»

7. Трансграничная передача персональных данных может быть запрещена или ограничена в целях защиты основ конституционного строя Российской Федерации, нравственности, здоровья, прав и законных интересов граждан, обеспечения обороны страны и безопасности государства, защиты экономических и финансовых интересов Российской Федерации, обеспечения дипломатическими и международно-правовыми средствами защиты прав, свобод и интересов граждан Российской Федерации, суверенитета, безопасности, территориальной целостности Российской Федерации и других ее интересов на международной арене с даты принятия уполномоченным органом по защите прав субъектов персональных данных решения, предусмотренного частью 12 настоящей статьи.

https://www.consultant.ru/document/cons_doc_LAW_61801/e4ebbe1780de623c7cf32a59ca82a7bb523a25dd/

Как я поняла — у Вас есть российское юрлицо, которое является оператором данных, и сайт, через который оно их получает.

Когда Вы запускаете рекламу через Google Ads, данные пользователей (в первую очередь, их IP-адреса, а также скорее всего — файлы cookie) начинают обрабатываться на серверах Google за рубежом.

Поскольку ваша реклама ориентирована на страны, которые не входят в перечень государств, обеспечивающих адекватную защиту прав субъектов персональных данных (утвержденный Роскомнадзором), каждая такая передача и обработка за границей является трансграничной передачей персональных данных.

То, что в уведомлении, ранее поданном вами в Роскомнадзор, этот вид деятельности не был указан, означает, что формально вы уже нарушаете закон.

Вам надо подавать новое уведомление, с указанием, что начали трансграничную обработку ПД.

Сайт РКН (информационное сообщение по трансграничке)

https://pd.rkn.gov.ru/cross-border-transmission/

Поскольку Вы планируете рекламу для зарубежной аудитории, Вам придется учитывать не только российское законодательство, но и законы иных стран.

Google Ads требует строгого соблюдения своей Политики согласия пользователей из ЕС.

Это значит, что на вашем сайте должен быть настроен инструмент получения согласия (например, Consent Mode), который передает в Google сигналы о том, дал ли пользователь согласие на обработку его данных для персонализации рекламы, и только при наличии такого согласия вы можете собирать и передавать полный набор данных.

Без этого ваш аккаунт Google Ads может быть ограничен в функционале, а рекламные кампании не будут показываться целевой аудитории в ЕС.

Также дополню, что наш  152-ФЗ (ФЗ от 27.07.2006 N 152-ФЗ  «О персональных данных») имеет экстерриториальное действие.

Если ваше иностранное юрлицо будет обрабатывать данные граждан РФ (например, передавать их от российского сайта на свой сервер для аналитики), то оно тоже обязано соблюдать требования российского закона, в том числе обеспечить защиту данных согласностатье 19 152-ФЗ, независимо от места своей регистрации.

Оператор при обработке персональных данных обязан принимать необходимые правовые, организационные и технические меры или обеспечивать их принятие для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных.

https://www.consultant.ru/document/cons_doc_LAW_61801/ca9e5658710519f09ab2fdb8196fcb3eb024a051/

Резюмирую

1) На вашем сайте должен быть четкий и понятный механизм получения согласия пользователей на обработку данных, включая их передачу в третьи страны.

Это отдельная галочка или отдельный пункт в согласии, не смешанный с общими условиями.

2) Крайне важно помнить, что при сборе данных на сайте для граждан РФ Вы обязаны использовать базы данных, находящиеся на территории России (статья 18 152-ФЗ о локализации данных).

И только после этого, в рамках разрешенной трансграничной передачи, Вы можете передавать их в Google или своему иностранному юрлицу. Важно также оценить, не обрабатываете ли вы биометрические данные или данные несовершеннолетних, так как для этого установлены особые требования.

С уважением, Дарья